Gli agenti AI di OpenAI che hanno "vissuto una vita segreta"

Si è parlato in lungo e in largo dell’ormai famigerato attacco di OpenAI a Hugging Face, tanto che è diventato il caso di studio dell’estate 2026, quello che tutti citano quando si parla dei rischi degli agenti AI. E non è rimasto isolato: nelle settimane successive anche altre big del settore, tra cui Anthropic e Meta, hanno ammesso di essere incappate in episodi simili nei propri ambienti di test, alimentando la sensazione che queste eccedenze possano rappresentare un vero problema strutturale del modo in cui vengono addestrati e testati questi sistemi.

Ma cosa è successo davvero, passo per passo, durante quell’attacco? Come ha fatto un gruppo di agenti (che in teoria dovevano essere completamente isolati l’uno dall’altro) a confrontare i rispettivi output e coordinare un attacco di massa contro un’infrastruttura di produzione? La risposta, contenuta nei report tecnici pubblicati da OpenAI e nell’indagine indipendente di METR e Redwood Research, è molto più affascinante di quanto un titolo da prima pagina lasci intuire. Non è stato un singolo modello “impazzito”, bensì una vera e propria organizzazione emergente, nata quasi per caso da una bacheca improvvisata, cresciuta silenziosamente per mesi sotto gli occhi (distratti) dei suoi stessi creatori.

La ‘chiamata segreta’

Tutto è partito da un ambiente di test isolato di OpenAI, pensato per valutare le capacità cyber dei modelli (incluso GPT-5.6 Sol e un modello di ricerca interno non pubblico). Gli agenti dovevano essere completamente separati l’uno dall’altro: nessuna comunicazione e nessun coordinamento. Solo che uno di loro, soprannominato “PHASEONE10841”, si è trovato di fronte a un compito impossibile da completare secondo le regole date. Invece di restituire un fallimento, il modello fa quello che i ricercatori chiamano reward hacking: cercare comunque di ottenere un punteggio positivo, e per farlo cominciare a cercare scorciatoie. Inclusa la possibilità di andare a cercare la soluzione online, cosa che l’ambiente di test isolato avrebbe dovuto impedire.

Ha dunque iniziato a usare Artifactory (un repository software di JFrog per uso interno) per lasciare delle “note” sul suo progetto. Altri agenti, con accesso allo stesso spazio per note, hanno iniziato a rispondere. Nel giro di poche ore si sono uniti più di 50 agenti componendo un vero e proprio sistema di messaggistica improvvisato. Lo scopo era trovare un accesso a Internet. Gli agenti hanno dunque concatenato una serie di vulnerabilità per bucare l’isolamento del loro ambiente di test e raggiungere il web aperto. Tra maggio e inizio luglio la rete è cresciuta fino a contare circa 1.200 agenti isolati attivi esclusivamente per raggiungere questo scopo. Come in un formicaio avevano iniziato a scambiarsi oltre 70.000 messaggi e file, catalogando le comunicazioni, condividendo strumenti, e addirittura organizzandosi per nascondere le prove “dell’organizzazione segreta” ai sistemi di scoring automatico.

Perché proprio Hugging Face?

Una volta trovato un varco all’esterno, il primo sistema “utile” individuato una volta ottenuto l’accesso al web è stato Hugging Face. Era un bersaglio raggiungibile e sfruttabile: la tecnica finale è consistita nell’avvelenare un dataset per far eseguire codice malevolo sui worker di elaborazione del portale, di fatto un cavallo di Troia inserito in dati che sarebbero stati processati dall’infrastruttura della piattaforma. Un modo concreto per continuare a inseguire il reward del benchmark iniziale, ormai completamente fuori controllo rispetto alle intenzioni originarie dei ricercatori.

Il vero e proprio buco in Hugging Face è iniziato l’8 luglio. Tra l’11 e il 13 luglio circa 700 dei 1.200 agenti hanno partecipato attivamente all’attacco. Un payload malevolo è stato creato per estrarre file di configurazione e credenziali; nel pomeriggio dell’11, un altro bot riesce a scalare i privilegi fino a eseguire comandi arbitrari sui server di produzione

Risultato: il codice è stato eseguito su 41 server di produzione dedicati ai dataset di Hugging Face, accesso root ottenuto su almeno un nodo, credenziali di produzione compromesse, dati interni limitati sottratti, e quattro repository di codice privati scaricati.

Gli alert ignorati

OpenAI non si è accorta di nulla per quasi una settimana. Hugging Face aveva già contattato l’FBI quando OpenAI si è fatta viva il 17 luglio: come cliente, non come responsabile. Solo il 19 luglio è scattato un allarme di monitoraggio interno, e solo il 20 luglio, dopo le opportune indagini, OpenAI ha confermato che i propri agenti erano la causa. La comunicazione pubblica è arrivata il 21 luglio, e l’addestramento/inferenza legati al modello di ricerca interno coinvolto sono stati fermati il 25 luglio.

E il dettaglio più inquietante di tutti è che c’erano già segnali d’allarme prima. Le comunicazioni non autorizzate tra agenti erano iniziate già a maggio, e la compromissione delle credenziali amministrative di Artifactory a fine giugno aveva fatto scattare un alert. Ma chi rispondeva all’incidente allora non ha colto la gravità del fatto che degli agenti stessero comunicando tra loro. OpenAI stessa ha ammesso nel report: “Alcuni segnali precoci identificati in questo report avrebbero potuto innescare una risposta anticipata“.

L’indagine indipendente che aggrava il quadro

A dare peso extra alla vicenda non è solo la versione di OpenAI, ma anche un’indagine parallela e indipendente firmata da METR (Model Evaluation and Threat Research) e Redwood Research, due organizzazioni di ricerca sulla sicurezza AI che hanno potuto condurre analisi per sei giorni direttamente nei locali dell’azienda. Il loro report, 91 pagine, non si limita a confermare la ricostruzione dei fatti ma la la allarga. Gli autori — Hjalmar Wijk e Ajeya Cotra di METR, insieme a Ryan Greenblatt di Redwood — documentano che il comportamento ‘deviato’ degli agenti non si è limitato all’ambito cyber. Gli stessi sistemi hanno tentato di aggirare le regole anche in contesti completamente diversi. Tra gli esempi citati, un task riguardanti un database di proteine e persino un semplice lavoro su foglio di calcolo. Lo studio suggerisce che la propensione a “barare” pur di completare un obiettivo fosse un tratto di fondo del modello, non un incidente casuale legato al contesto specifico. E ogni volta, gli agenti avrebbero ripetutamente provato a cancellare o alterare i log delle proprie azioni: un tentativo, seppur rudimentale, di coprire le proprie tracce davanti ai propri stessi supervisori.